El troyano ToxicPanda 2.0 ha dado un salto de escala que obliga a redibujar el mapa del fraude bancario móvil. 349 aplicaciones financieras en 16 países, frente a las 16 que vigilaba la versión original, documenta el equipo zLabs de Zimperium.
Se lo adelanto sin rodeos: la campaña ya toca a la banca del sur de Europa, y uno de los mercados más expuestos por volumen de banca móvil es España. Quien maneje una app de banco en Android haría bien en leer hasta el final.
La infección arranca con un truco clásico disfrazado de pantalla de instalación legítima. ToxicPanda solicita permisos de VPN, los utiliza para bloquear a Google Play Protect y, con el guardia dormido, descifra e instala la carga útil escondida en los archivos de la propia aplicación.
Una vez dentro, abusa del Servicio de Accesibilidad de Android, la misma función que emplean los lectores de pantalla legítimos, para observar e interactuar con todo lo que ocurre en el dispositivo de la víctima. En el oficio lo llamamos abuso de funcionalidad legítima, y es de lo más difícil de detectar.
La cadena de infección: del VPN falso al acceso de shell
Lo que distingue a esta versión es un truco de escalada de privilegios construido sobre una función que casi nadie activa: la depuración inalámbrica de Android.
El malware automatiza todo el proceso. Toca siete veces el número de compilación para desbloquear las opciones de desarrollador, activa la depuración inalámbrica y captura el código de emparejamiento de seis dígitos directamente de la pantalla usando sus permisos de accesibilidad.
ToxicPanda 2.0 no necesita un zero-day: abusa de funciones legítimas de Android para obtener acceso de shell sin que el usuario activara el modo desarrollador.
Después ejecuta el apretón de manos criptográfico y gana acceso de shell al dispositivo. La víctima jamás se entera de que el modo desarrollador quedó encendido. No hay ventana de confirmación. No hay aviso.
El acceso de shell lo cambia todo.
El robo de credenciales va en dos carriles. Para apps bancarias y de criptomonedas, el troyano observa qué aplicación abre la víctima, la cruza con su lista de 349 objetivos y superpone una pantalla de inicio falsa o una capa transparente que registra cada toque y cada PIN.
Además, puede superponer una versión falsa de la pantalla de bloqueo del teléfono para robar el PIN, el patrón o la contraseña del dispositivo. Eso le da una vía de reentrada incluso después de que la ventana de infección inicial se cierre.
De 16 a 349 objetivos: el salto que alerta a la banca del sur de Europa
Varias capacidades que la firma Cleafy ya había señalado como incompletas en versiones anteriores funcionan ahora a pleno rendimiento. El malware puede pulsar automáticamente los diálogos de permisos de Xiaomi, Samsung, Huawei y otros fabricantes, solicitar privilegios de administrador del dispositivo mediante un falso aviso de de ‘servicio del sistema’.
También puede restablecer en remoto la contraseña de la pantalla de bloqueo utilizando las API legítimas de gestión de dispositivos de Android y cargar una página web controlada por el atacante dentro de una superposición a pantalla completa, algo que no existía en variantes anteriores.
La distribución ha cambiado. Las muestras se sirven ahora desde cubos de almacenamiento alojados en Amazon AWS, en lugar de la infraestructura improvisada de campañas anteriores.
Usar proveedores de nube masivos para entregar malware no es nuevo, pero complica el bloqueo. Marcar un rango IP completo de AWS como malicioso arrastra una cantidad enorme de tráfico legítimo.
Lo inquietante, y se lo digo sin dramatismo, es que nada de esto requiere un zero-day sofisticado. Cada capacidad abusa de una función que Android incorpora deliberadamente: Servicios de Accesibilidad, depuración inalámbrica, APIs de administración de dispositivos.
Ya lo advertí en El quinto elemento: el próximo gran ataque no necesitará romper sistemas, bastará con pervertir herramientas legítimas. ToxicPanda 2.0 es la demostración práctica de aquella tesis.
Para quien gestiona endpoints móviles, esto no es un problema de parchear algo, sino de detectar usos anómalos de funciones normales. Y eso es considerablemente más difícil de instrumentar.
Herramientas legítimas, usadas con malicia.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de tipo malware bancario con escalada de privilegios mediante abuso de funciones legítimas de Android. No emplea zero-day, pero su salto de 16 a 349 objetivos y sus 167 comandos remotos lo convierten en una operación persistente y profesionalizada.
Agencias implicadas: quien ataca son grupos criminales con infraestructura cloud en AWS, sin atribución confirmada a un Estado. Quien defiende: Zimperium zLabs, Google Play Protect y, en España, el CCN-CERT. Quien mira: la banca europea, el Banco de España y, de forma indirecta, el CNI, que ya monitoriza amenazas a infraestructuras críticas financieras.
Nivel de clasificación estimado: las técnicas descritas por Zimperium son de conocimiento abierto; no hay material clasificado involucrado. Sin embargo, los indicadores de compromiso y la atribución técnica tienen carácter sensible para los equipos de respuesta a incidentes bancarios.
Precedente histórico: el abuso de funciones legítimas para espiar no es nuevo. Stuxnet usó certificados robados y funcionalidad lícita de Siemens para sabotear centrifugadoras; Pegasus empleó exploits de día cero en iOS. ToxicPanda 2.0 sigue la misma lógica: pervertir el cauce oficial en lugar de romperlo.
Mi lectura es clara. Android se ha vuelto el campo de batalla del fraude bancario a escala global, y el hecho de que ToxicPanda 2.0 ya alcance a la banca del sur de Europa obliga a los equipos de seguridad españoles a revisar sus controles de comportamiento, no solo sus firmas antivirus.
Reconozco una incertidumbre: la atribución de esta campaña es difusa. Zimperium no señala un actor estatal, y la infraestructura AWS puede alquilarse desde cualquier punto del planeta. Conviene esperar al próximo informe técnico de Mandiant o CrowdStrike antes de fijar nombres.
Cierro con una fecha concreta: los responsables de seguridad móvil deberían tener listos sus detectores de abuso del Servicio de Accesibilidad antes del próximo informe trimestral de Zimperium, previsto para otoño de 2026.
